Las curvas brainpoolP160r1 a brainpoolP512r1 (más las variantes torcidas «t1», con a = −3) usan primos y coeficientes derivados de los dígitos de π y e, de modo que nadie pudo haberlos elegido para que tuvieran una propiedad oculta. El precio es la velocidad: sus primos no tienen una forma especial. OID habituales: 1.3.36.3.3.2.8.1.1.7 (brainpoolP256r1), …1.1.11 (P384r1) y …1.1.13 (P512r1).
Compatibilidad en protocolos: grupos 26, 27 y 28 de TLS 1.2 (RFC 7027); grupos de TLS 1.3 brainpoolP256r1tls13 (31), 32 y 33, con esquemas de firma como ecdsa_brainpoolP256r1tls13_sha256 (0x081A) (RFC 8734); claves OpenPGP (RFC 9580). Los navegadores no las ofrecen por defecto, y WebCrypto no las admite. Son habituales en los ecosistemas alemanes de eID y tarjetas inteligentes, en los ePassports y en las pasarelas de contadores inteligentes. El apéndice H.1 de NIST SP 800-186 permite de brainpoolP224r1 a P512r1 «por razones de interoperabilidad».
En un núcleo de un Apple M4 Max, OpenSSL 3.6.5 firma unos 7800 mensajes por segundo con brainpoolP256r1, frente a unos 87.000 con P-256, porque solo P-256 tiene una implementación optimizada específica. No se conoce ninguna debilidad; brainpoolP256r1 ofrece unos 128 bits de seguridad.